ROZHODNUTÍ KOMISE
ze dne 19. října 2010
podle směrnice Evropského parlamentu a Rady 95/46/ES o odpovídající ochraně osobních údajů v Andorrském knížectví
(oznámeno pod číslem K(2010) 7084)
(Text s významem pro EHP)
(2010/625/EU)
EVROPSKÁ KOMISE,
s ohledem na Smlouvu o fungování Evropské unie,
s ohledem na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1), a zejména na čl. 25 odst. 6 uvedené směrnice,
po konzultaci s evropským inspektorem ochrany údajů,
vzhledem k těmto důvodům:
(1)
V souladu se směrnicí 95/46/ES jsou členské státy povinny zajistit, aby k předávání osobních údajů do třetí země docházelo, pouze pokud dotyčná třetí země zajišťuje odpovídající úroveň ochrany a pokud jsou před předáním údajů dodržovány právní předpisy členských států provádějící ostatní ustanovení směrnice.
(2)
Komise může dospět k závěru, že třetí země zajišťuje odpovídající úroveň ochrany. Takové zemi mohou členské státy předávat osobní údaje, aniž by byly nutné dodatečné záruky.
(3)
V souladu se směrnicí 95/46/ES má být úroveň ochrany údajů hodnocena s ohledem na všechny okolnosti související s předáním nebo předáváním údajů, a to se zvláštním zřetelem na celou řadu podmínek týkajících se předávání a uvedených v článku 25 této směrnice.
(4)
S ohledem na rozdíly v přístupu třetích zemí k ochraně údajů by mělo být dbáno na to, aby hodnocení odpovídající úrovně této ochrany a uplatňování všech rozhodnutí na základě čl. 25 odst. 6 směrnice 95/46/ES nebyla svévolně nebo neodůvodněně diskriminační vůči třetím zemím, kde jsou obdobné podmínky, nebo mezi nimi, a aby nevytvářela skrytou překážku obchodu s ohledem na stávající mezinárodní závazky Evropské unie.
(5)
Andorra je stát se systémem parlamentního spoluknížectví, přičemž funkce spoluknížat zastávají prezident Francouzské republiky a španělský arcibiskup ze Seo de Urgel.
(6)
Právo na soukromí je zakotveno v článku 14 Ústavy Andorrského knížectví (Constitució del Principat d’Andorra) schválené všeobecným referendem ze dne 14. března 1993.
(7)
Právní předpisy upravující ochranu osobních údajů v Andorrském knížectví jsou ve velké míře založené na normách stanovených směrnicí 95/46/ES a jsou stanoveny v zákoně č. 15/2003 ze dne 18. prosince o ochraně osobních údajů (Llei qualificada de protecció de dades personals, LQPDP). Tyto právní předpisy na ochranu údajů jsou dále doplněny nařízením ze dne 1. července 2004, které zřizuje veřejný rejstřík souborů osobních údajů, a nařízením ze dne 9. června 2010, které schvaluje předpisy andorrské agentury pro ochranu údajů. Druhý dokument upřesňuje mnoho otázek, které si pracovní skupina, zřízená podle čl. 29 směrnice 95/46/ES, kladla ve svém stanovisku ze dne 1. prosince 2009 (2) ohledně ochrany jednotlivců, pokud jde o zpracování osobních údajů.
(8)
Ustanovení ohledně ochrany údajů jsou rovněž obsažena v celé řadě právních nástrojů upravujících různá odvětví, jako jsou předpisy ve finančním sektoru, ve zdravotnictví a předpisy týkající se veřejných rejstříků.
(9)
Andorra ratifikovala Úmluvu Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat ze dne 28. ledna 1981, dodatkový protokol k Úmluvě o ochraně osob se zřetelem na automatizované zpracování osobních údajů, o orgánech dozoru a toku údajů přes hranice ze dne 8. listopadu 2001, dále Úmluvu o ochraně lidských práv a základních svobod Rady Evropy ze dne 4. listopadu 1950 (v Andorrském knížectví vstoupila v platnost 22. ledna 1996) a Pakt o občanských a politických právech ze dne 16. prosince 1966 (v Andorrském knížectví platný od 19. července 2006).
(10)
Právní normy pro ochranu osobních údajů platné v Andorrském knížectví upravují všechny základní zásady nezbytné pro zajištění odpovídající úrovně práv fyzických osob a zároveň stanoví výjimky a omezení pro ochranu důležitých veřejných zájmů. Používání těchto právních norem pro ochranu osobních údajů je zaručeno prostřednictvím správních a soudních opravných prostředků a nezávislého dohledu, který provádí orgán dozoru (andorrská agentura pro ochranu údajů), jenž je pověřený vyšetřovacími pravomocemi a pravomocemi zasáhnout a jedná zcela nezávisle.
(11)
Andorrské orgány pro ochranu osobních údajů poskytly vysvětlení a záruky ohledně způsobu výkladu andorrského práva a poskytly záruky ohledně provádění andorrských předpisů na ochranu údajů v souladu s takovým výkladem. Toto rozhodnutí přihlíží k uvedeným vysvětlením a zárukám, a je jimi proto podmíněno.
(12)
Andorru je proto třeba považovat za zemi zajišťující odpovídající úroveň ochrany osobních údajů podle směrnice 95/46/ES.
(13)
V zájmu průhlednosti a aby příslušné orgány v členských státech zajistily ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů, je nezbytné uvést výjimečné okolnosti, za nichž může být odůvodněno pozastavení určitých toků údajů, bez ohledu na zjištění odpovídající úrovně ochrany.
(14)
Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů, zřízená podle článku 29 směrnice 95/46/ES, předložila kladné stanovisko k úrovni ochrany osobních údajů, k němuž bylo přihlédnuto při přípravě tohoto rozhodnutí (3). V uvedeném kladném stanovisku pracovní skupina podpořila andorrské orgány v probíhajícím procesu přijímání dalších ustanovení, která rozšíří uplatňování andorrských právních předpisů na automatizovaná individuální rozhodnutí, jelikož tento prvek není v současnosti výslovně uznán andorrským zákonem o ochraně osobních údajů.
(15)
Opatření tohoto rozhodnutí jsou v souladu se stanoviskem výboru zřízeného podle čl. 31 odst. 1 směrnice 95/46/ES,
PŘIJALA TOTO ROZHODNUTÍ:
Článek 1
Pro účely čl. 25 odst. 2 směrnice 95/46/ES se Andorra považuje za zemi poskytující odpovídající úroveň ochrany osobních údajů předávaných z Evropské unie.
Článek 2
Toto rozhodnutí se vztahuje na odpovídající úroveň ochrany zajišťovanou v Andorrském knížectví s cílem splnit požadavky čl. 25 odst. 1 směrnice 95/46/ES a nedotýká se ostatních podmínek nebo omezení provádějících ostatní ustanovení zmíněné směrnice, které se vztahují na zpracování osobních údajů v členských státech.
Článek 3
1. Aniž jsou dotčeny pravomoci příslušných orgánů členských států přijímat opatření, která zajišťují, aby byly dodržovány vnitrostátní předpisy přijaté na základě jiných ustanovení než článku 25 směrnice 95/46/ES, mohou tyto orgány vykonávat své stávající pravomoci, aby pozastavily předávání údajů příjemci v Andorrském knížectví s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů v těchto případech:
a)
pokud příslušný orgán Andorry zjistí, že příjemce nedodržuje normy uplatňované v oblasti ochrany, nebo
b)
pokud je velmi pravděpodobné, že nebyly dodržovány normy týkající se ochrany; pokud se lze důvodně domnívat, že příslušný orgán Andorry včas nepřijal nebo nepřijme odpovídající opatření nezbytná pro vyřešení sporné věci; pokud by pokračování v předávání údajů vyvolalo bezprostřední riziko vzniku vážné újmy subjektům údajů a pokud příslušné orgány členského státu za daných okolností přiměřeně usilují o informování strany odpovědné za zpracování údajů usazené v Andorrském knížectví a poskytly jí příležitost zaujmout stanovisko.
2. Pozastavení předávání údajů skončí, jakmile je zajištěno dodržování norem ochrany a jakmile je o této skutečnosti informován příslušný orgán členského státu.
Článek 4
1. Členské státy neprodleně uvědomí Komisi o přijetí opatření podle článku 3.
2. Členské státy a Komise se rovněž vzájemně informují o případech, kdy opatření přijatá subjekty pověřenými, zajištěním dodržování norem ochrany v Andorrském knížectví, nejsou dostatečná.
3. Pokud informace shromážděné podle článku 3 a podle odstavců 1 a 2 tohoto článku prokážou, že kterýkoli subjekt pověřený zajištěním dodržování norem ochrany v Andorrském knížectví, neplní účinně svou úlohu, uvědomí o tom Komise příslušný orgán Andorrského knížectví a bude-li třeba, předloží návrh opatření postupem podle čl. 31 odst. 2 směrnice 95/46/ES s cílem zrušit toto rozhodnutí, pozastavit je nebo omezit jeho oblast působnosti.
Článek 5
Komise sleduje provádění tohoto rozhodnutí a jakékoli předmětné poznatky sdělí výboru zřízenému podle článku 31 směrnice 95/46/ES, včetně jakýchkoliv důkazů, které by mohly mít vliv na hodnocení prováděné podle článku 1 tohoto rozhodnutí, zda je úroveň ochrany v Andorrském knížectví odpovídající ve smyslu článku 25 směrnice 95/46/ES, a jakýchkoliv důkazů, že se toto rozhodnutí provádí diskriminačním způsobem.
Článek 6
Členské státy přijmou veškerá opatření, která jsou nezbytná pro dosažení souladu s tímto rozhodnutím, do 1. ledna 2011.
Článek 7
Toto rozhodnutí je určeno členským státům.
V Bruselu dne 19. října 2010.
32010D0625
L 277/27
SLUŽBENI LIST EUROPSKE UNIJE
ODLUKA KOMISIJE
od 19. listopada 2010.
sukladno Direktivi 95/46/EZ Europskog parlamenta i Vijeća o odgovarajućoj zaštiti osobnih podataka u Andori
(priopćena pod brojem dokumenta C(2010) 7084)
(Tekst značajan za EGP)
(2010/625/EU)
EUROPSKA KOMISIJA,
uzimajući u obzir Ugovor o funkcioniranju Europske unije,
uzimajući u obzir Direktivu 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (1), a posebno njezin članak 25. stavak 6.,
nakon savjetovanja s Europskim nadzornikom zaštite podataka,
budući da:
(1)
Sukladno Direktivi 95/46/EZ, države članice su dužne osigurati da se prijenos osobnih podataka u treću zemlju može ostvariti jedino ako dotična treća zemlja osigurava odgovarajuću razinu zaštite i ako se poštuju zakoni te države članice za provedbu ostalih odredaba Direktive prije prijenosa.
(2)
Komisija može utvrditi da treća zemlja osigurava odgovarajuću razinu zaštite. U tom slučaju, osobni podaci mogu se prenositi iz država članica bez potrebe dodatnih jamstava.
(3)
Sukladno Direktivi 95/46/EZ, razinu zaštite podataka treba procijeniti imajući u vidu sve okolnosti u vezi s postupkom prijenosa podataka ili skupom postupaka prijenosa podataka i imajući poseban obzir prema brojnim elementima važnim za prijenos, navedenim u njezinom članku 25.
(4)
S obzirom na različite pristupe zaštiti podataka u trećim zemljama, trebalo bi provesti procjenu primjerenosti i svaku odluku koja se temelji na članku 25. stavku 6. Direktive 95/46/EZ treba provesti tako da ne bude proizvoljne ili neopravdane diskriminacije protiv trećih zemalja ili među trećim zemljama gdje prevladavaju slični uvjeti, niti da se stvore prikrivene prepreke za trgovanje, uvažavajući trenutačne međunarodne obveze Europske unije.
(5)
Andora je država sa sustavom parlamentarne sukneževine, s predsjednikom Francuske Republike i urgelskim nadbiskupom kao sukneževima.
(6)
Pravo na privatnost sadržano je u članku 14. Ustava Kneževine Andore (Constitució del Principat d’Andorra), kako je odobreno općim referendumom 14. ožujka 1993.
(7)
Pravni propisi za zaštitu osobnih podataka u Andori se uvelike temelje na standardima iz Direktive 95/46/EZ te su propisani Organskim zakonom 15/2003 od 18. prosinca o zaštiti osobnih podataka (Llei qualificada de protecció de dades personals) (LQPDP). Ovo zakonodavstvo o zaštiti podataka je dodatno upotpunjeno Odlukom od 1. srpnja 2004. kojom se osniva Javni registar za upis osobnih podataka i Odlukom od 9. lipnja 2010. kojom se potvrđuju uredbe andorske Agencije za zaštitu podataka. Potonji instrument pojašnjava nekoliko pitanja koje je Radna skupina za zaštitu pojedinaca, osnovana člankom 29. Direktive 95/46/EZ, uputila na temu obrade osobnih podataka u svojemu Mišljenju od 1. prosinca 2009. (2)
(8)
Odredbe zaštite podataka su također sadržane u brojnim pravnim instrumentima koji reguliraju različite sektore, kao što su zakonodavstvo financijskog sektora, zdravstveni propisi i javni registri.
(9)
Andora je ratificirala Konvenciju Vijeća Europe za zaštitu pojedinaca u vezi s automatskom obradom osobnih podataka od 28. siječnja 1981. te Dodatni protokol Konvencije Vijeća Europe za zaštitu pojedinaca u vezi s automatskom obradom osobnih podataka, koji se odnosi na nadzorna tijela i prekogranični protok podataka od 8. studenoga 2001., kao i Konvenciju Vijeća Europe za zaštitu ljudskih prava i temeljnih sloboda od 4. studenoga 1950., u Andori na snazi od 22. siječnja 1996., te Međunarodni pakt o građanskim i političkim pravima od 16. prosinca 1966., na snazi u Andori od 19. srpnja 2006.
(10)
Pravni standardi zaštite podataka, koji se primjenjuju u Andori, obuhvaćaju sva temeljna načela potrebna za odgovarajuću razinu zaštite fizičkih osoba, čak i ako su utvrđene iznimke i ograničenja da bi se zaštitili bitni javni interesi. Primjena ovih pravnih standarda zaštite podataka je zajamčena administrativnim i pravosudnim lijekovima i neovisnim nadzorom koji provodi nadzorno tijelo, andorska Agencija za zaštitu podataka, koja je ovlaštena za istrage i intervencije i koja djeluje u potpunosti neovisno.
(11)
Andorska tijela za zaštitu podataka dala su objašnjenja i jamstva o interpretaciji andorskog zakona te jamstva da se andorsko zakonodavstvo o zašiti podataka provodi u skladu s tom interpretacijom. Ova Odluka uzima u obzir ta objašnjenja i jamstva te je stoga njima uvjetovana.
(12)
Andora se stoga mora smatrati za pružatelja odgovarajuće razine zaštite osobnih podataka iz Direktive 95/46/EZ.
(13)
U interesu transparentnosti i da bi se zaštitila sposobnost nadležnih tijela u državama članicama da osiguraju zaštitu pojedinaca s obzirom na obradu njihovih osobnih podataka, potrebno je navesti iznimne okolnosti u kojima obustava određenih protoka podataka može biti opravdana, bez obzira na pronalazak odgovarajuće zaštite.
(14)
Radna skupina za zaštitu pojedinaca s obzirom na obradu osobnih podataka koja je osnovana sukladno članku 29. Direktive 95/46/EZ dala je mišljenja o razini zaštite koju pruža švicarsko pravo, što je uzeto u obzir pri pripremi ove Odluke (3). U svom pozitivnom mišljenju Radna skupina je ohrabrila andorska tijela vlasti u tekućem procesu usvajanja daljnjih odredaba, koje će proširiti primjenu andorskog zakonodavstva na automatizirane zasebne odluke, budući da to trenutačno nije izričito prepoznato od strane andorskog Organskog zakona o zaštiti osobnih podataka.
(15)
Mjere navedene u ovoj Odluci u skladu su s mišljenjem Odbora osnovanog člankom 31. stavkim 1. Direktive 95/46/EZ,
DONIJELA JE OVU ODLUKU:
Članak 1.
Za potrebe članka 25. stavka 2. Direktive 95/46/EZ, Andora se smatra pružateljem odgovarajuće razine zaštite osobnih podataka prenesenih iz Europske unije.
Članak 2.
Ova se Odluka tiče samo primjerenosti zaštite koju pruža Andora u smislu ispunjavanja zahtjeva iz članka 25. stavka 1. Direktive 95/46/EZ i ne utječe na ostale uvjete ili ograničenja za provedbu ostalih odredaba Direktive koje se odnose na obradu osobnih podataka u državama članicama.
Članak 3.
1. Ne dovodeći u pitanje svoje ovlasti da poduzimaju mjere za osiguranje usklađenosti s nacionalnim odredbama usvojenima u skladu s odredbama koje nisu iz članka 25. Direktive 95/46/EZ, nadležna tijela država članica mogu koristiti svoje postojeće ovlasti da obustave protok podataka prema primatelju u Andori kako bi zaštitili pojedince s obzirom na obradu njihovih osobnih podataka u slučajevima ako:
(a)
je nadležno andorsko tijelo utvrdilo da primatelj krši odgovarajuće standarde zaštite; ili
(b)
ako postoji stvarna vjerojatnost da je došlo do povrede standarda zaštite, gdje postoje utemeljene osnove za vjerovati da nadležno andorsko tijelo ne poduzima ili neće poduzeti odgovarajuće i pravovremene korake kako bi riješilo dotični slučaj, ako bi nastavak prijenosa stvorio trenutnu opasnost od nastanka ozbiljne štete za vlasnike podataka i ako su nadležna tijela država članica poduzela razumne napore da u tim okolnostima obavijeste stranku odgovornu za obradu sa sjedištem u Andori i dala joj mogućnost da se očituje.
2. Obustava prestaje čim su osigurani standardi zaštite i čim je dotično nadležno tijelo u Zajednici o tome obaviješteno.
Članak 4.
1. Države članice moraju bez odgode obavijestiti Komisiju kada su mjere na temelju članka 3. usvojene.
2. Države članice i Komisija će obavijestiti jedni duge o slučajevima ako aktivnosti tijela odgovornih za osiguravanje usklađenosti sa standardima zaštite u Andori ne uspijevaju osigurati takvu usklađenost.
3. Ako informacije prikupljene prema članku 3. i prema stavcima 1. i 2. ovog članka pružaju dokaze da bilo koje tijelo odgovorno za osiguravanje usklađenosti sa standardima zaštite u Andori ne ispunjava svoju ulogu učinkovito, Komisija mora obavijestiti tijela nadležna andorska tijela i, ako je potrebno, predstaviti nacrt mjera u skladu s postupkom iz članka 31. stavka 2. Direktive 95/46/EZ s ciljem stavljanjem izvan snage ili suspenzije ove Odluke ili smanjenja njenog djelokruga.
Članak 5.
Komisija mora nadzirati funkcioniranja ove Odluke i prijaviti svaki relevantan zaključak Odboru osnovanom člankom 31. Direktive 95/46/EZ, uključujući bilo koji dokaz koji bi mogao utjecati na zaključak iz članka 1. ove Odluke da je zaštita u Andori odgovarajuća u smislu članka 25. Direktive 95/46/EZ i svaki dokaz da se ova Odluka provodi na diskriminatorni način.
Članak 6.
Države članice moraju poduzeti sve mjere potrebne za usklađivanje s Odlukom do 1. siječnja 2011.
Članak 7.
Ova je Odluka upućena svim državama članicama.
Sastavljeno u Bruxellesu 19. listopada 2010.